Tomcat
Discovery
일반적으로 포트 8080에서 실행됩니다.
일반적인 Tomcat 오류:
Enumeration
Version Identification
Apache Tomcat의 버전을 찾기 위해 간단한 명령을 실행할 수 있습니다:
이것은 문서 인덱스 페이지에서 "Tomcat"이라는 용어를 검색하여 HTML 응답의 제목 태그에서 버전을 드러냅니다.
매니저 파일 위치
/manager
및 /host-manager
디렉토리의 정확한 위치를 식별하는 것은 중요합니다. 이름이 변경될 수 있기 때문입니다. 이러한 페이지를 찾기 위해 무차별 대입 검색을 권장합니다.
사용자 이름 열거
Tomcat 6보다 이전 버전에서는 다음을 통해 사용자 이름을 열거할 수 있습니다:
기본 자격 증명
/manager/html
디렉토리는 WAR 파일의 업로드 및 배포를 허용하므로 특히 민감합니다. 이 디렉토리는 기본 HTTP 인증으로 보호되며, 일반적인 자격 증명은 다음과 같습니다:
admin:admin
tomcat:tomcat
admin:
admin:s3cr3t
tomcat:s3cr3t
admin:tomcat
이 자격 증명은 다음을 사용하여 테스트할 수 있습니다:
또 다른 주목할 만한 디렉토리는 **/manager/status
**로, Tomcat 및 OS 버전을 표시하여 취약점 식별에 도움을 줍니다.
무차별 대입 공격
관리자 디렉토리에 무차별 대입 공격을 시도하려면 다음을 사용할 수 있습니다:
Along with setting various parameters in Metasploit to target a specific host.
Common Vulnerabilities
Password Backtrace Disclosure
/auth.jsp
에 접근하면 운이 좋을 경우 백트레이스에서 비밀번호가 노출될 수 있습니다.
Double URL Encoding
mod_jk
의 CVE-2007-1860 취약점은 이중 URL 인코딩 경로 탐색을 허용하여, 특별히 제작된 URL을 통해 관리 인터페이스에 무단 접근할 수 있게 합니다.
Tomcat의 관리 웹에 접근하려면 다음으로 이동하십시오: pathTomcat/%252E%252E/manager/html
/examples
Apache Tomcat 버전 4.x에서 7.x까지는 정보 노출 및 교차 사이트 스크립팅(XSS) 공격에 취약한 예제 스크립트를 포함하고 있습니다. 이 스크립트는 포괄적으로 나열되어 있으며, 무단 접근 및 잠재적 악용 여부를 확인해야 합니다. 자세한 정보는 여기에서 확인하세요
/examples/jsp/num/numguess.jsp
/examples/jsp/dates/date.jsp
/examples/jsp/snp/snoop.jsp
/examples/jsp/error/error.html
/examples/jsp/sessions/carts.html
/examples/jsp/checkbox/check.html
/examples/jsp/colors/colors.html
/examples/jsp/cal/login.html
/examples/jsp/include/include.jsp
/examples/jsp/forward/forward.jsp
/examples/jsp/plugin/plugin.jsp
/examples/jsp/jsptoserv/jsptoservlet.jsp
/examples/jsp/simpletag/foo.jsp
/examples/jsp/mail/sendmail.jsp
/examples/servlet/HelloWorldExample
/examples/servlet/RequestInfoExample
/examples/servlet/RequestHeaderExample
/examples/servlet/RequestParamExample
/examples/servlet/CookieExample
/examples/servlet/JndiServlet
/examples/servlet/SessionExample
/tomcat-docs/appdev/sample/web/hello.jsp
Path Traversal Exploit
일부 Tomcat의 취약한 구성에서는 경로 /..;/
를 사용하여 Tomcat의 보호된 디렉토리에 접근할 수 있습니다.
예를 들어, www.vulnerable.com/lalala/..;/manager/html
에 접근하여 Tomcat 관리자 페이지에 접근할 수 있을 것입니다.
이 트릭을 사용하여 보호된 경로를 우회하는 또 다른 방법은 http://www.vulnerable.com/;param=value/manager/html
에 접근하는 것입니다.
RCE
마지막으로, Tomcat 웹 애플리케이션 관리에 접근할 수 있다면, .war 파일을 업로드하고 배포할 수 있습니다(코드 실행).
Limitations
충분한 권한(역할: admin, manager 및 manager-script)이 있는 경우에만 WAR를 배포할 수 있습니다. 이러한 세부정보는 일반적으로 /usr/share/tomcat9/etc/tomcat-users.xml
에 정의된 _tomcat-users.xml_에서 찾을 수 있습니다(버전마다 다를 수 있음) (자세한 내용은 POST section).
메타스플로잇
MSFVenom Reverse Shell
배포할 war 파일 생성:
revshell.war
파일을 업로드하고 접근합니다 (/revshell/
):
tomcatWarDeployer.py로 바인드 및 리버스 셸
일부 시나리오에서는 이 방법이 작동하지 않습니다 (예: 구버전의 sun)
다운로드
리버스 셸
바인드 셸
Using Culsterd
수동 방법 - 웹 셸
index.jsp를 다음 내용으로 생성합니다:
당신은 또한 이것을 설치할 수 있습니다 (업로드, 다운로드 및 명령 실행을 허용): http://vonloesch.de/filebrowser.html
수동 방법 2
JSP 웹 셸과 같은 것을 가져와 WAR 파일을 생성하십시오:
POST
Tomcat 자격 증명 파일의 이름은 _tomcat-users.xml_입니다.
Tomcat 자격 증명을 수집하는 다른 방법:
다른 톰캣 스캐닝 도구
참고자료
Last updated